Eine Nachricht kann die Authentifizierung für eine Domain bestehen und dem Empfänger gleichzeitig eine andere Domain anzeigen.
Wie prüft DMARC eine Nachricht?
Der empfangende Server prüft, ob ein bestandenes SPF- oder DKIM-Ergebnis mit der Domain in der sichtbaren From-Adresse übereinstimmt. Ein einzelner übereinstimmender Pass reicht aus, damit DMARC besteht.
- Sie veröffentlichen Ihre DMARC-Richtlinie im DNS.
- Der Empfänger ruft die Richtlinie ab und prüft SPF, DKIM und die Domain-Übereinstimmung.
- Wenn keine der Methoden besteht und übereinstimmt, berücksichtigt der Empfänger Ihre angeforderte Fehlerrichtlinie zusammen mit seinen eigenen Filterregeln.
- Teilnehmende Empfänger senden Authentifizierungsberichte an die von Ihnen angegebenen Adressen.
SPF, DKIM und DMARC haben unterschiedliche Aufgaben. SPF prüft, ob eine sendende IP für die Envelope-From-Domain autorisiert ist, die Bounces empfängt. DKIM verifiziert eine Signatur über den signierten Nachrichteninhalt. DMARC verbindet eines der beiden Ergebnisse mit der Domain, die der Empfänger sieht.
Was bedeutet Domain-Alignment?
Alignment bedeutet, dass die authentifizierte Domain unter Ihrer gewählten Abgleichregel mit der sichtbaren From-Domain übereinstimmt. Bei SPF ist die authentifizierte Identität normalerweise die Envelope-From-Domain. Bei DKIM ist es die d=-Domain der Signatur.
Relaxed Alignment erlaubt Subdomains, die dieselbe Organisationsdomain teilen, also die registrierte Domain wie example.com. Strict Alignment erfordert eine exakte Übereinstimmung. Zum Beispiel stimmt send.example.com mit example.com unter relaxed SPF-Alignment überein, aber nicht unter strict Alignment.
Die Tags aspf und adkim wählen strict (s) oder relaxed (r) Alignment für jede Methode. Beide sind standardmäßig relaxed. Wie DMARC funktioniert beschreibt die Prüfungen ausführlicher.
Was steht in einem DMARC-Record?
Ein DMARC-Record ist ein DNS-TXT-Record unter _dmarc unterhalb Ihrer Domain. Dieses Beispiel fordert Berichte an, ohne Quarantäne oder Ablehnung anzufordern:
_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc-aggregate@example.com; ruf=mailto:dmarc-afrf@example.com; pct=100"| Tag | Bedeutung im Beispiel |
|---|---|
v=DMARC1 | Identifiziert den Record als DMARC. |
p=none | Fordert keine DMARC-Durchsetzung an, während Sie Authentifizierungsergebnisse prüfen. |
rua | Benennt das Postfach für Aggregatberichte. |
ruf | Benennt das Postfach für Fehlerberichte; Empfänger stellen diese Berichte möglicherweise nicht bereit. |
pct=100 | Wendet eine angeforderte Durchsetzungsrichtlinie auf alle fehlschlagenden Nachrichten an; macht p=none nicht zur Durchsetzung. |
Ersetzen Sie die Beispieldomain und die Berichtsadressen durch Ihre eigenen. Die DMARC-Record-Erklärung behandelt weitere Einstellungen.
Was kann eine DMARC-Richtlinie durchsetzen?
Ihre Richtlinie fordert an, wie Empfänger Nachrichten behandeln, die DMARC nicht bestehen. Der Empfänger trifft die endgültige Zustellentscheidung.
| Richtlinie | Ihre Anforderung |
|---|---|
p=none | Keine DMARC-spezifische Durchsetzung anwenden. Andere Spam- und Sicherheitsprüfungen gelten weiterhin. |
p=quarantine | Fehlschlagende Nachrichten als verdächtig behandeln, typischerweise durch Einordnung in den Spam-Ordner. |
p=reject | Fehlschlagende Nachrichten ablehnen. |
DMARC adressiert die unautorisierte Nutzung Ihrer Domain in der From-Adresse. Es verhindert nicht, dass jemand eine andere, ähnlich aussehende Domain verwendet oder Ihren Anzeigenamen kopiert. Ein DMARC-Pass garantiert auch keine Inbox-Platzierung. RFC 7489, die DMARC-Spezifikation, überlässt die Nachrichtenannahme dem Empfänger.
Wie beginnen Sie mit der Durchsetzung einer Richtlinie?
Beginnen Sie mit p=none und Aggregatberichten, identifizieren und authentifizieren Sie dann jede legitime Sendequelle, bevor Sie die Richtlinie verschärfen. Das verhindert, dass eine durchsetzende Richtlinie einen Absender blockiert, den Sie vergessen haben zu konfigurieren.
Aggregatberichte zeigen die von teilnehmenden Empfängern gemeldeten Authentifizierungsergebnisse. Fehlerberichte liefern Details auf Nachrichtenebene, wenn ein Empfänger sie bereitstellt. Fehlende Berichte belegen nicht, dass niemand Ihre Domain verwendet hat.
Wechseln Sie zu Quarantäne oder Ablehnung, nachdem Sie legitime Authentifizierungsfehler behoben haben. Die DMARC-Richtlinien-Erklärung und die Einrichtungsschritte behandeln diesen Rollout.
Wie konfigurieren Sie DMARC für Bird?
Sie veröffentlichen die für Ihre Sendedomain zurückgegebenen Records: DKIM, den Return-Path-CNAME und eine gültige DMARC-Richtlinie. Eine gültige Richtlinie, die die Domain abdeckt, kann von ihrer Organisationsdomain geerbt werden. p=none erfüllt die DMARC-Prüfung von Bird.
Die Domain-Antwort meldet die Richtlinienprüfung in capabilities.dmarc.status. Prüfen Sie capabilities.sending.status auf Bereitschaft für DKIM, Return-Path und DMARC. Beide Felder verwenden diese Status:
| Status | Bedeutung und Aktion |
|---|---|
pending | Die Verifizierung wurde nicht ausgeführt oder läuft; warten Sie auf das Ergebnis. |
verified | Die DNS-Records der Funktion stimmen mit den erwarteten Werten überein. |
warning | Zuvor verifizierte Records stimmen nicht mehr überein; korrigieren Sie sie, bevor die Kulanzfrist endet. Der Versand ist noch nicht betroffen. |
failed | Ein DNS-Wert ist falsch; korrigieren Sie ihn. |
temporary_failure | Eine DNS-Abfrage ist vorübergehend fehlgeschlagen; die Verifizierung wird automatisch erneut versucht. |
not_configured | Die Funktion ist für diese Domain nicht eingerichtet. |
Der Sendedomain-Leitfaden behandelt die Verifizierung, und der Authentifizierungs-Leitfaden erklärt die DNS-Records.